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(57) Abstract: The invention relates to a method and a device for generating an 
error signal and for carrying out measures that are based on said generation, for 
a motor vehicle equipped with a wheel-slip control system and/or a wheel-decel- 
eration control system. According to the invention, at least one function variable, 
which represents the function of the wheel-slip control system and/or wheel-decel- 
eration control system is monitored for errors and if at least one error is detected, 
the value of at least one error counter is incremented. In a similar manner, if at 
least one error is detected, at least one error signal is emitted, if the value of at 
least one error counter exceeds a predeterminable threshold value. The invention is 
characterised in that at least two different predeterminable threshold values coexist 
simultaneously for at least one error counter and the respective exceeding of said 
value by the counter reading of the error counter^ s) causes different error signals to 
be emitted and different measures to be carried out in the wheel-slip control system 
and/or wheel-deceleration control system, in response to the different error signals. 

(57) Zusammenfassung: Die Erfindung betrifft ein Verfahren und eine Vorrich- 
tung zur Erzeugung eines Fehlersignals und darauf basierender Durchfuhrung von 
Massnahmen bei einem mil einem Radschlupfregelungssystem und/oder Radverzo- 
gerungsregelungssystem ausgestatteten Kraftfahrzeug. Dabei wird wenigstens eine 
Funktionsgr5sse, die die Funktionalitat des Radschlupfregelungssy stems und/oder 
Radverzdgerungsregelungssystems reprasentiert, auf einen Fehler hin uberwacht 
und im Falle wenigstens eines detektierten Fehlers der Wert wenigstens eines Fehl- 
er2^hlers inkrementien. Ebenso wird im Falle wenigstens eines detektierten Fehlers 
wenigstens ein Fehlersignal ausgegeben, wenn der Wert wenigstens eines Fehler- 
zahlers einen vorgebbaren Grenzwert uberschreilel. Der Kern der Erfindung be- 
steht darin, dass fiir wenigstens einen Fehlerzahler gleichzeitig wenigstens zwei 
verschiedene vorgebbare Grenzwerte vorhanden sind, bei deren jeweiligem Ober- 
schreiten durch den Zahlerstand des wenigstens einen Fehlerzahlers unterschiedli- 
che Fehiersignale ausgegeben werden und dass in Reaktion auf die unterschiedli- 
chen Fehiersignale unterschiedliche Massnahmen im Radschlupfregelungssystem 
und/oder Radverzdgerungsregelungsystem durchgefbhrt werden. 
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Verfahren \md Vorrichtimg zvir Behandlung von Fehlerverdacht 
Stand der Technik 

Die Erfindxing geht aus von einem Verfahren imd einer Vor- 
richtimg zur Erzeugung eines Fehlersignals bei einem Kraft- 
fahrzeug mit den Merkmalen der Oberbegrif fe der imabhangigen 
Anspriiche . 

In der DE 196 38 280 Al ist die Erzeugung eines Fehlersig- 
nals bei einem Kraf tfalirzeug mit wenigstens zwei rechts und 
links im hinteren land vorderen Bereich des Fahrzeugs ange- 
ordneten Radem beschrieben. Hierzu werden Signale erfasst, 
die die Drehgeschwindigkeiten der Fahrzeugrader reprasentie- 
ren. Insbesondere abhangig von den erf ass ten Signalen wird 
weiterhin das Vorliegen einer Kurvenfahrt erf asst. Die wah- 
rend der Kurvenfahrt erfassten Signale werden dann erfin- 
dungsgemSS mit einem wahrend einer Kurvenfahrt vorliegenden 
Sollverhalten verglichen, woraufhin abhangig von dem Ver- 
gleich das Fehlersignal erzeugt wird. Durch den Vergleich 
ist es mSglich, fehlerhafte Drehzahlftihlersignale, bei- 
spielsweise durch eine Vertauschung der Leitungen, zu detek- 
tieren. 

Aus der DE 196 36 443 Al ist eine Vorrichtung und ein Ver- 
fahren zur Uberwachung von Sensoren in einem Fahrzeug be- 
kannt. Dabei dient die erf indungsgemaSe Vorrichtung der 
berwachung von Sensoren in einem Fahrzeug, welche Signale 
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erzeugen, die jeweils unterschiedliche physikalische GroiSen 
reprasentieren. Die Vorrichtving enthalt Mittel, mit denen 
fiir wenigstens zwei Sensoren, ausgehend von wenigstens den 
von ihnen erzeugten Signalen, fiir die Sensoren gleich defi- 
nierte VergleichsgroiSen ermittelt werden. Ferner enthalt die 
Vorrichtnng weitere Mittel, mit denen in Abhangigkeit von 
wenigstens den ermittelten VergleichsgroSen eine Referenz- 
groSe ermittelt wird. Ausgehend von wenigstens der ermittel-- 
ten ReferenzgroSe wird in Uberwachungsmitteln wenigstens fiir 
einen Sensor eine Oberwachung durchgef iihrt . Neben den tiber- 
wachvingsmitteln enthalt die Vorrichtung zusatzlich Mittel, 
mit denen wenigstens fiir einen Sensor eine Korrektur des von 
ihm erzeugten Signals, wenigstens in Abhangigkeit von der 
ReferenzgroEe, durchgef Uhrt wird. 

Die Merkmale der Oberbegriffe der unabhSngigen Anspriiche ge- 
hen aus der DB 196 38 280 Al hervor. 

Vorteile der Erf indxong 

Die Erfindxang betrifft ein Verf ahren und eine Vorrichtung 
zur Behandlxing von Fehlerverdacht - Dabei basiert sie auf ei- 
nem Verfahren zur Erzeugung eines Fehlersignals und darauf 
basierender Durchfiihrung von MaSnahmen bei einem mit einem 
Radschlupfregelungs system und/oder Radverzogerungsregelungs- 
system ausgestatteten Kraf tf ahrzeug, welches 

- wenigstens eine FunktionsgrSJSe, welche die Fimktionalitat 
des Radschlupfregelungs systems xmd/oder Radverzogerungs- 
regelxmgssys terns reprasentiert, auf einen Fehler hin ii- 
berwacht und 

im Falle wenigstens eines detektierten Fehlers den Wert 
wenigstens eines Fehlerzahlers inkrementiert und 

- wenigstens ein Fehlersignal ausgibt, wenn der Wert we- 
nigstens eines Fehlerzahlers einen vorgebbaren Grenzwert 
iiberschreitet . 

Der Kern der Erfindxang besteht darin, dass 
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fur wenigstens einen Fehlerzahler gleichzeitig wenigstens 
zwei verschiedene vorgebbare Grenzwerte vorhanden sind, 
bei deren jeweiligem Oberschreiten durch den Zahlerstand 
des wenigstens einen Fehlerzahlers unterschiedliche Feh- 
lersignale ausgegeben werden iind 

in Reaktion auf die imterschiedlichen Fehlersignale \m- 
terschiedliche MaiSnahtnen iiti Radschlupfregelungs system 
und/oder RadverzSgerxmgsregelungssystem durchgefiihrt wer- 
den. 

Dadurch werden im Falle eines Fehlerverdachts abgestufte 
MaSnahmen erlaubt. Im folgenden wird aus GrQnden der iiber- 
sichtlicheren Darstellung haufig der Begriff ^Radschlupfre- 
gelungs system'^ verwendet* Damit sei aber stets ein Rad- 
schlupfregelungssystem und/oder Radverzogerungsregelungssys- 
tem gemeint. 

Zur Veranschaulichung stelle man sich vor, dass eine Uberwa- 
chungsvorrichtung in einem Radschlupf regelungssystem eines 
Kraf tfahrzeug einen m5glichen Fehler detektiert, Jedoch ist 
zugleich die Wahrscheinlichkeit dafiir, dass tatsSchlich ein 
Fehler vorliegt, nicht so grofi, dass tatsSchlich drastische 
GegenmaSnahmen wie beispielsweise das automatische Abschal- 
ten des Radschlupf regelungssystems gerechtf ertigt waren. Die 
Erfindung erlaubt es in diesem Fall, abgestufte Gegemnafinah- 
men durchzuf iihren . Beispielsweise koiuien bei einer einmali- 
gen Detektion des Fehlers durch das Radschlupfregelxmgssys- 
tern beeinf luBte Druckaufbau- oder Druckabbauprozesse ver- 
langsamt werden. Erst bei einer erneuten oder mehrfachen De- 
tektion des Fehlers werden drastischere GegenmalSnahmen er- 
griffen. Anstelle von Druckaufbau- und Druckabbauprozessen 
konnen natiirlich auch allgemein Bremskraf taufbau- \md Brems- 
kraf tabbauprozesse verlangsamt werden. Hierbei ist bei- 
spielsweise an die elektromechanische Bremse (EMB) gedacht, 
bei welcher der Bremskraf taufbau und Bremskraf tabbau nicht 
mehr hydraulisch gesteuert wird. Deshalb ist die Erfindung 
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ohne weiteres auch auf Fahrzeuge anwencibar, welche itiit einer 
elektromechanischen Bremsanlage ausgestattet sind. 

Ein vorteilhaf ter Einsatzbereich der Erfindung ist dann ge- 
geben, wenn es sich bei dem Radschlupf regelimgssystem um ein 
Fahrdynamikregelungssystem handelt, welches wenigstens eine 
die Fahrdynamik reprasentierende GroSe auf ein gewOnschtes 
Verhalten regelt- 

Von Vorteil ist weiterhin, wenn die Uberwachimg wenigstens 
einer FunktionsgroBe, welche die Funktionalitat des Rad- 
schlupfregel\mgssys terns reprasentiert, dadurch erfolgt, dass 
eine Oberprafung des Erftilltseins wenigstens einer gegebenen 
Bedingung stattfindet. 

Wie bereits erwShnt wird vorteilhaf terweise als erste MaS- 
nahme bei (Jberschreiten des niedrigsten Grenzwerts durch ei- 
nen FehlerzShler eine Verlangsainung der Druckaufbaudynamik 
in den Radbreiasen dxirchgef xihrt . 

Dies l^sst sich dahingehend verallgemeinem (2*B. bei der e- 
lektromagnetischen Bremse) , dass als erste MaSnahme bei U- 
berschreiten des niedrigsten Grenzwerts durch einen Fehler- 
zahler eine Verlaoigsamung der Bremskraf taufbauprozesse und 
Bremskraftabbauprozesse in den Radbremsen durchgeftihrt wird. 

Als zweite MaiSnahme bietet es sich beispielsweise an, bei U- 
berschreiten des zweitniedrigsten Grenzwerts durch einen 
FehlerzShler entweder die Eingrif f sschwelle fur wenigstens 
einen Bremseneingrif f des Fahrdynamikregelungs systems zu er- 
hahen und/oder wenigstens einen Eingrif f des Fahrdynamikre- 
gelungs systems ganz zu untersagen. 

Dies bedeutet in anderen Worten, dass es sich als zweite 
Mafinahme beispielsweise anbietet, dass bei Uberschreiten des 
zweitniedrigsten Grenzwerts durch einen Fehlerzahler eine 
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groSere Abweichxang wenigstens einer die Fahrdynamik repra- 
sentierenden Grofie von ihrem gewtinschten Verhalten zul^ssig 
ist, bevor ein Regelungseingrif f des Fahrdynamikregelungs- 
systems erfolgt xind/oder dass als zweite MaJSnahme wenigstens 
5 ein Regelvmgseingrif f des Fahrdynamikregelungssystems ganz 

untersagt wird. Die Untersagxmg eines Regelungseingrif fs 
durch ein Fahrdynamikregelimgssystem kann dabei bedeuten, 
dass wenigstens eine Eingrif f sart, beispielsweise ein Ein- 
griff gegen Ubersteuem oder ein Eingriff gegen Untersteuern 
10 Oder ein Eingriff an einem ausgewShlten Rad, ganz untersagt 

wird. 



Eine weitere UberwachungsmajSnahme kann f olgendermassen aus- 
sehen: Die Ubeorwachixng wenigstens einer FunktionsgroBe er- 
15 folgt dadurch, dass eine durch das Ausgangssignal eines 

Fahrzeugsensors represent ierte Gr5&e mit einer durch ein ma- 
thematisches Modell berechneten Gr5Be verglichen wird. 

Vorteilhaft ist es hierbei, wenn der Vergleich einer durch 
20 das Ausgangssignal eines Fahrzeugsensors reprSsentierten 

GroSe mit einer durch ein mathematisches Modell berechneten 
GroSe nur wahrend bestiinmter FahrzustSnde erfolgt. Dies 
hangt mit dem Giiltigkeitsbereich des mathematischen Modells 
zusammen. Befindet sich das Fahrzeug in einem Fahrzustand, 
25 in welchem keine Gtiltigkeit des mathematischen Modells vor- 

liegt, dann hat nattirlich auch die durch das mathematische 
Modell berechnete Gr6fie keine wesentliche Aussagekraft mehr. 



Vorteilhafterweise wird \inter einer FunktionsgroSe die Span- 
30 nung an einem Piinkt der elektronischen Schaltvmg des Rad- 

schlupfrege lungs systems \and/oder Radverzogerungsregelungs- 
systems verstanden. Darxmter kann aber auch das Ausgangssig- 
nal eines Sensors oder eine aus einem mathematischen Modell 
berechnete GroSe verstanden werden. 



35 
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Weitere vorteilhafte Ausgestaltxingen der Erf indxing sind den 
Unteransprtichen zu entnehmen. 

Zeichnving 

5 

Ein Ausfuhnmgsbeispiel der Erfindung ist in der folgenden 
Zeichn\mg dargestellt und erlautert. Die Zeichnung besteht 
aus den Figuren 1 bis 4. 

Fig. 1 zeigt den prinzipiellen Ablauf der Verfahrens zur Be- 

10 handlung von Fehlerverdacht • 

Fig. 2 zeigt ein einf aches Sicherheitskonzept ftir ein Rad- 
schlupf regelungssystem, bei welchem bei einem erkannten Feh- 
ler das Radschlupfregelungs system abgeschaltet wird 
Fig. 3 zeigt ein erstes Sicherheitskonzept ftir ein Rad- 

15 schlupfregelxxngs system, bei welchem vor der Fehlererkenn\ing 

bereits auf Fehlerverdacht erkannt wird und als Reaktion 
darauf die Druckauf baudynamik in den Radbremsen bei durch 
das Radschlupf regelungssystem hervorgeruf enen Bremseingif fen 
verlangsamt wird. 

20 Fig. 4 zeigt ein zweites Sicherheitskonzept ftir ein Rad- 

schlupf regelxings system, bei welchem vor der Fehlererkennung 
bereits auf Fehlerverdacht erkannt wird und als Reaktion 
darauf die Eingrif f sschwellen des Fahrdynamikregelungs sys- 
tems aufgeweitet werden. 

25 

Au s f uhrung sbe i spi el e 

30 Zuerst sollen einige mogliche Uberwachungsmafinahmen an einem 

Radschlupf regelungssystem dargestellt werden: 
1. Hardware-'Uberwachung: Hier ist beispielsweise die Oberwa- 
chung des Spaimungswertes an einem Punkt der elektroni- 
schen Schaltimg denkbar. 
35 2. Sensoruberwachung: Da ein Radschlupf regelungssystem auch 

Sensoren umfasst (zum Beispiel Raddrehzahlsensoren, Quer- 
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beschle\Hiig\angssensor, Lenkwinkelsensor, Gierratensensor, 
Drucksensoren, . . • ) ist eine Uberwachung der Sensoren 
denkbar. Beispielsweise kann das von einem Sensor gelie- 
ferte Ausgangs signal dahingehend uberwacht werden, ob der 
Wert dieses Signales bzw. der durch dieses Signal repra- 
sentierten GroSe in einem physikalisch sinnvollen oder 
moglichen Bereich liegt. Auch eine Uberwachung der zeit- 
lichen Anderxing einer dxirch ein Sensorsignal reprasen- 
tier ten GroSe ist denkbar. 
3. Modellgestiitzte Uberwachung: Manche GroSen stehen in 
zweifacher Weise zur Verftigung. Zxm einen werden sie 
durch einen Sensor erfasst, zum anderen werden sie aus 
einem mathematischen Modell ermittelt. Hier bietet sich 
ein Vergleich der aus dem Sensorsignal gewonnenen Gr5iSe 
mit der aus einem mathematischen Modell ermittelten Gr6Be 
an. Dabei ist nattirlich der Gttltigkeitsbereich des mathe- 
matischen Modells zu beachten, d.h. ein Vergleich wShrend 
eines Fahrzustandes, in dem das mathematische Modell 
nicht gill tig ist, hat n\ir eine begrenzte Aussagekraf t . 

Verschiedenen prinzipiell m5glichen Fehlem werden separate 
Fehlerzahler zugeordnet. Der prinzipielle Arbeitsablauf be- 
ziiglich des FehlerzShlers k, welcher eine Oberwachung k 
dxirchfuhrt, ist in Fig, 1 dargestellt. Neben dem Fehlerzah- 
ler k gibt es weitere Fehlerzahler 1, 2, 3,..., k-1, k+1, 
. . . , N, welche die tJberwachungen 1, 2 , . . . , k-1, k+1, . . . , N 
durchftihren. Insgesamt seien N Fehlerzahler vorgesehen. 

Block 100 stellt eine Signalquelle k dar, welche ein oder 
mehrere Ausgangssignale zur Uberwachung an Block 102 lie- 
fert. Bei dieser Signalcjuelle kann es sich beispielsweise um 
einen Sensor handeln, oder um die Spannung an einem speziel- 
len Punkt in der elektronischen Schaltung des Radschlupfre- 
gelungs systems oder um das Ausgangssignal eines mathemati- 
schen Modells. Die von dieser Signalquelle k gelieferte Aus- 
gangsgroiSe bzw. die gelieferten Ausgangsgr56en werden in 
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Block 102 ObexTtfacht. Dazu gibt es eine Uberwachimgsabfrage 
k. Durch diese Uberwachungsabfrage kann beispielsweise \iber- 
priift werden, ob die von der Signalquelle k gelieferte Aus- 
gangsgroSe grofier als ein vorgebbarer Grenzwert ist. Es sind 
aber auch kompliziertere Abfragen denkbar. So kann tiberpriift 
werden, ob die von der Signalquelle k gelieferte Ausgangs- 
groSe grofier als ein erster vorgebbarer Grenzwert 
(=:Minimalwert) und zugleich kleiner als ein zweiter vorgeb- 
barer Grenzwert (=Maxiinalwert) ist. 

Es ist auch denkbar, dass die Signalquelle k mehrere Aus- 
gangssignale liefert, beispielsweise die Ausgangsspannung an 
einer AnschluSklemme des Radschlupfregelungs systems sowie 
die Temperatur an einem bestiiiiinten Punkt des Radschlupf rege- 
lungssysteius . Damit sind auch kombinierte Uberwachiingsabfra- 
gen denkbar. Eine solche Uberwachungsabfrage konnte bei- 
spielsweise in der OberprUfung bestehen, ob die Temperatur 
einen bestimmten, vorgebbaren Wert unterschreitet und 
zugleich eine Spannung einen anderen, vorgebbaren Wert tiber- 
schreitet . 

Eine weitere kombinierte Uberwachungsabfrage k5nnte aus ei- 
nem Vergleich zwischen der aus einem Sensorsignal gewonnenen 
Gr5&e und der aus einem mathematischen Modell ermittelten 
GrdiSe bestehen. 

Im Rahmen eines Flussablaufplans kann Block 100 auch als 
Einlesen von Daten gedeutet werden. Die Art dieser Daten 
wurde im vorigen Absatz dargestellt. 

Zeigt die Oberwachtingsabfrage 102, dass das von der Signal- 
quelle 100 gelieferte Signal alle Bedingungen erfxillt, d.h. 
plausibel ist, dann wird in Block 101 der Fehlerzahler ik 
auf Null zuiiickgesetzt. Der Fehlerzahler ik enthalt die Zahl 
der in nichtvmterbrochener Folge ermittelten Nichterfailun- 
gen der Oberwachxingsabf rage k. Danach werden emeut die Aus- 
gangssignale der Signalquelle 100 uberwacht, d.h. es wird 
wenigstens eine GroSe eingelesen. 
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Zeigt die Oberwachiingsabfrage 102 jedoch, dass das Ausgangs- 
signal (bzw. die Ausgangssignale) von Block 100 nicht alle 
geforderten Bedingiingen erfullt, dann ist dies ein Hinweis 
auf einen moglichen Fehler. Deshalb wird in Block 103 der 
Wert ik des Fehlerzahler lam Eins erholit. In Block 104 findet 
eine Abfrage statt, ob ik > Nl ist. Nl ist dabei ein vorgeb- 
barer Grenzwert. Ist diese Bedingimg nicht erfallt, dann 
wird zu Block 100 zixonickverzweigt . Ist diese Bedingung er- - 
ftillt, dann folgt die nachste Uberpruftuig von ik in Block 
105: ik > N2. 

N2 ist dabei grdSer als Nl . 

Wenn die Bedingung in Block 105 nicht erfxillt ist, dann be- 
deutet dies, daS ik groSer als Nl, aber kleiner als N2 ist. 
Deshalb werden in Block 106 nun erste Mafinahmen eingeleitet. 
Diese ersten Mafinahitien konnen beispielsweise in einer Ver- 
langsamimg der Druckaufbaudynamik bzw. Druckabbaudynamik des 
Radschlupfregelungssystems bestehen. Anstelle von Druckauf- 
bau und Druckabbau kann es sich auch tun Kraf taufbau \ind 
Kraftabbau handeln, wie es bei der elektromechanischen Brem^ 
se der Fall ist. 

Dieser Sachverhalt soil nochmals kurz und anschaulich erlau- 
tert werden: 

- Durch ik > Nl wurde erkannt, daS moglicheanA^eise ein Feh- 
ler im Radschlupfregelungssystem vorliegt. 

- Dadurch aber, dass ik noch kleiner als N2 ist, liegt noch 
keine hinreichende Sicherheit daftir vor, dass wirklich 
ein Fehler vorhanden ist. 

- Deshalb werden beispielsweise die beschriebenen ersten 
MaEnahmen eingeleitet. 

- Der Sinn der ersten Mafinahmen besteht im Beispiel darin, 
dass das Radschlupfregelungssystem weiterhin alle notwen- 
digen Eingriffe durchftihrt, allerdings zeitlich etwas 
langsamer. Dadurch wird Zeit fur eine weitere Oberprtifung 
des Fehlerverdachts gewonnen. 
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1st in Block 105 dagegen ik > N2, dann folgt anschlie£end 
eine weitere Abfrage ik > N3 in Block 107. Dabei gilt N3 > 
N2. 

1st ik niclit grdSer als N3, werden in Block 108 zweite MaS- 
nahmen eingeleitet, welche vorteilhaf terweise bereits etwas 
starkere Auswirkungen auf das Radschlupf regelimgssystem ha- 
ben. Am Beispiel eines Fahrdynamikregelungs systems (ESP, 
FDR) kann das bedeuten, dass die Eingrif f sschwellen mancher 
Regelungseingrif f e erhoht werden oder dass sogar manche Ein- 
grif fe ganz verboten werden. 

Wird in Block 107 f estgestellt, dass ik > N3 ist, dann wer- 
den in Block 109 dritte Mafinahmen eingeleitet. Diese dritten 
Mafinahmen konnen beispielsweise darin bestehen, dass rele- 
vante Funktionen des Radschlupfregelvmgssystems abgeschaltet 
werden oder dass sogar das ganze Radschlupfregelxingssystem 
abgeschaltet wird. Falls ik > N3 ist, liegt mit groiSer Wahr- 
scheinlichkeit ein Fehler im Radschlupfregelungs system bzw. 
in einer Komponente vor. Durch eine strichlierte Linie ist 
Block 109 mit Block 100 verbunden. Dies hSngt damit zusam- 
men, dass mSglicherweise ein emeuter Uberwachnngszyklus in 
Block 100 beginnt. Es ist aber auch moglich, bei einem kom- 
plett abgeschalteten Radschlupfregeliingssystem auf weitere 
Obeirwachxingen zu verzichten. 

Wie bereits erwaimt gibt es separate Fehlerzahler ftir sepa- 
rate Fehler. Das in Fig. 1 dargestellte Verfahren ist sinn- 
gemSS auch auf die anderen Fehlerzahler iiber tragbar • 
In einer speziellen Ausfiihrungsform ist es mSglich, dass die 
dtirchgeftihrten ersten MaiSnahmen bei Erreichen der entspre- 
chenden Grenzwerte durch verschiedene Fehlerzahler jeweils 
identisch sind. Dasselbe gilt auch ftir die zweiten und drit- 
ten Mafinahmen. 

Es ist aber auch denkbar, abhangig von der erkannten Fehler- 
art (d.h. vom Fehlerzahler) unterschiedliche MaiSnahmen 
durchzuf iihren . 
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Weiterhin ist es moglich, die Grenzwerte Nl, N2 vmd N3 fiir 
alle FehlerzShler individuell zu wahlen. Dadurch ist es bei- 
spielsweise maglich, dass bei nicht gravierenden Fehlenci die 
Eingrif fsgrenzwerte Nl, N2 und N3 hoher als bei gravierenden 
Fehlem gewablt werden. Allerdings ist es auch denlcbar, dass 
Nl, N2 xind N3 fur alle Fehlerzahler dieselben Werte anneh- 
men. 

In Fig. 1 wurden als Beispiel erste, zweite und dritte MaS- 
nahmen je nach Stand des Fehlerzahlers ergriffen. Es ist 
denkbar, die Mafinahmen sogar noch feiner abzustufen, d.h. es 
gibt auch noch vierte Malkiahmen, fiinfte MaSnahmen usw. 
Es ist aber auch moglich und denkbar, mit lediglich zwei ab- 
gestuften Mafinahmen auszukommen. 

Konkrete AusfChrungsformen des in Fig. 1 allgemein disku- 
tierten Sicherheitskonzeptes sind in den Fig. 2 bis 4 darge- 
stellt. Da diese Figuren alle ganz ahnlich aufgebaut sind, 
soil zxinachst einmal der allgemeine Aufbau erlautert werden. 
Dabei wird ein als Fahrdynamikregelungs system ausgeprSgtes 
Radschlupf regelungssystem vorausgesetzt . 

Jede dieser Figuren besteht aus zwei Diagrammen. Im oberen 
Diagrainm sind jeweils verschiedene Grdfien a(t) (Ordinate) 
als Funktion der Zeit t (Abszisse) aufgetragen. Diese sollen 
nun der Reihe nach besprochen werden. 

- Das oberste Signal 200 beschreibt als binSren Signalver- 
lauf den Zustand des Pumpenmotors des Radschlupf rege- 
lungssystems. Dabei hcuidelt es sich urn den Motor der 
Ruckforderpumpe, welche fiir den aktiven Druckaufbau (d.h. 
ohne Mithilfe des Fahrers) sorgt. Nimmt dieses Signal 
seinen tiefen Wert („low'M an, dann ist der Pumtpenmotor 
ausgeschaltet. Nimmt das Signal den hohen Wert („high^') 
an, dann ist der Pumpenmotor eingeschaltet - 
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Als nSchstes Signal ist die irdt einem Gierratensensor ge- 
messene Gierrate vGi aufgetragen. Diese ist in alien Fal- 
len als zeitlich konstant angenoinmen, d.h. es liegt eine 
waagrechte Gerade vor. Die geschweifte Klammer 210 zeigt 
5 den schraf f ierten Bereich an, welcher das erlaxibte Reg- 

lertoleranzband der Gierrate angibt. Auf diesen Begriff 
wird spMter nSher eingegangen. 
- Als drittes Signal von oben ist die mittels eines mathe- 
matischen Modells berechnete Gierrate vGiLw strichliert 

10 eingezeichnet . Als mathematisches Modell eignet sich bei- 

spielsweise das Einspurmodell, welches auch unter dem Na- 
men Ackermann-Beziehung bekannt ist, Darin wird aus dem 
Lenkwinkel, der Fahrzeuglangsgeschwindigkeit sowie weite- 
ren Parametem die Gierrate berechnet. 

15 - Als viertes ^md letztes Signal von oben ist die GroSe p 

als Funktion der Zeit eingezeichnet. p ist ein MaS fiir 
den aufgebauten Druck in einem ausgewahlten Radbremszy- 
linder . 

20 Im xinteren der beiden Diagrainme sind wieder die gemessene 

Gierrate vGi, die berechnete Gierrate vGiLw, sowie in 
schraf fierter Form das Reglertoleranzband der Gierrate ein- 
gezeichnet. Das Reglertoleranzband ist dabei in Ordinaten- 
richtung etwas schmaler als im oberen Diagraram dargestellt, 

25 Dies ist aus Griinden der tJbersichtlichkeit erfolgt. Als zu- 

satzliche Kurve 220 wurde der Stand des Fehlerzahlers F(t) 
aufgenommen. Dabei wurde der Stand des Fehlerzahlers aus 
Grunden der Obersichtlichkeit als kontinuierlich ansteigende 
Gerade dargestellt. Vorzugsweise ist der Stand des Fehler- 

30 zShlers aber eine diskrete ganze Zahl, d-h. es kann sich 

auch um eine Treppenfunktion handeln. Diese Unterscheidtmg 
ist aber fiir die folgenden Betrachtungen \uiwesentlich. 



35 



Zuerst soil Fig. 2 diskutiert werden. Dazu wird zunSchst im 
oberen Diagramm die gemessene Gierrate vGi mit der berechne- 
ten Gierrate vGiLw verglichen. tJber die ganze Zeitachse t 
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hinweg werde dabei die Gtiltigkeit des mathematischen Model- 
les zur Berechnung der Gierrate vGiLw vorausgesetzt . Z\m 
Zeitpunkt tl trete ein Sensorfehler 230 (siehe Blitzsymbol 
im unteren Diagramm) , beispielsweise des Lenkwinkelsensors , 
5 auf- Es werde vorausgesetzt, dass der Lenkwinkel in die Be- 

rechnimg der Gierrate vGiLw eingehe. Deshalb tritt zxam Zeit- 
pxinkt tl eine plotzliche Abweichvmg zwischen vGi und vGiLw 
auf. Diese Abweichung ist so stark, daS vGiLw sogar aus dem 
Reglertoleranzband der Gierrate vGi herausfallt. Dies hat 
10 zwei Folgen; 

1. Das Fahrdynamikregelxings system erkennt f alschlicherweise 
auf eine Abweichung zwischen Soli- und Istgierrate. Des- 
halb wird ein Regelungseingrif f gestartet, erkennbar am 
Einschalten der Puitipe sowie am Anwachsen des Druckes p im 

15 oberen Diagramm. 

2. Der Wert F{t) des diesem Fehler zugeordneten FehlerzSh- 
lers im iinteren Diagramm beginnt anzusteigen. Das hSngt 
damit zusammen, dass bei jeder emeuten tfcerwachung (sie- 
he Fig. 1, Block 102) eine Differenz zwischen den beiden 

20 Gierraten (vGi und vGiLw) und damit ein weiterer Fehler- 

verdacht festgestellt wird. Ztim Zeitpunkt t=t2 hat der 
Wert des Fehler zahlers den Wert Fl erreicht, d.h. der 
Fehler gilt als hinreichend sicher erkannt. Dies ist mit 
dem Blitzsyihbol 240 gekennzeichnet . Deshalb wird zum 

25 Zeitpunkt t2 der Regeliingseingrif f des Fahrdynamikrege- 

lungssystems wieder beendet. Dazu wird die Piampe 200 ab- 
geschaltet und der Druck p klingt wieder ab. 

Das Blitzsymbol 230 tritt mit derselben Bedeutxing auch in 
30 den Figuren 3 und 4 auf. 

In Fig. 3 sind zusStzlich der Zeitpunkt t3 (mit t3 < t2) so- 
wie das Blitzsymbol 250 eingezeichnet . Zum Zeitpxinkt t3 hat 
der Fehlerzahler bereits einen ersten Grenzwert F2 erreicht. 
35 Deshalb wird zum Zeitpunkt t3 die Dynamikbegrenzung des Dru- 

ckes aktiviert (erste Mafinahme) . Dies ist daran zu erkennen. 
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dass der Druck im oberen Diagramm langsaiaer als in Fig, 2 
ansteigt. D.h. der Regelungseingrif f des Fahrdynamikrege- 
lungssystems findet langsamer statt, Zum Zeitpunkt t2 hat 
der Fehlerzahler sogar den zweiten (und hoheren) Grenzwert 
Fl erreicht. Nun wird auf einen sicheren Fehler erkannt und 
der Druck p wieder abgebaut. Man sieht, dass infolge der vo- 
rangegangenen ersten MaSnahme lediglich ein kleiner Druck 
abgebaut werden mufi. Die Auswirkungen des irrttimlichen Brem- 
seneingriffs des Fahrdynamikregelungs systems sind schwacher 
geblieben als in Fig. 2. 

Eine weitere Ausgestaltung der Erfindung ist in Fig. 4 dar- 
gestellt. Zxim Zeitpunkt tl beginnt wieder f alschlicherweise 
der Regelungseingrif f des Fahrdynamikregelungs sys terns . Dies 
ist im oberen Diagramm durch den einsetzenden Anstieg des 
Druckes p erkennbar. Zusn Zeitpunkt t4 erreicht der Fehler- 
zahler den Wert F3 . Es wird auf Fehlerverdacht erkannt, ge- 
kennzeichnet durch das Blitzsyihbol 260. Als Folge des Feh- 
lerverdachts findet eine Aufweitxmg der Eingrif f schwelle des 
Fahrdynamikregelungs sys terns statt. Dies ist im oberen Dia- 
gramm schraf f iert eingezeichnet und mit der geschweif ten 
Klammer 211 markiert. Da nun das Reglertoleranzband des 
Fahrdynamikregelungs sys terns breiter geworden ist, fSllt fur 
t > t4 der berechnete Wert vGiLw wieder in das Reglertole- 
ranzband von vGi. Deshalb wird der Eingrif f des Fahrdynamik- 
regelungssystems wieder rGckgangig gemacht- Das ist am 
Druckabbau im oberen Diagramm zu erkeimen. Zugleich wird die 
Pumpe wieder abgeschaltet . Zum Zeitpunkt t5 iiberschreitet 
der Wert des Fehlerzahlers einen zweiten Grenzwert. Dies ist 
durch das Blitzsymbol 270 gekennzeichnet . Nun gilt der Feh- 
ler als sicher erkannt \ind zweite Mafinahmen werden ergrif- 
fen. 

Wie bereits erwShnt sind verschiedenste Fehlerzahler fur 
verschiedenste Uberwachungsmafinahmen denlODar. Ein erkannter 
Fehler kann vorteilhaf terweise nicht nur zur Einschrankung 
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der Funktionen des Radschlupfregelxangs systems herangezogen 
werden, sondem maglicherweise kann auch die Fehlerursache 
direkt f estgestellt und in irgendeiner denkbaren Form proto- 
kolliert, gespeichert oder als Fahrer information ausgegeben 
5 werden. Dies erleichtert eine spatere Diagnose, beispiels- 

weise bei einer Werkstattxmtersuchxmg und fiihrt zu verkurz- 
ten Serviceaufentbalten. Dies kann zu einer be tracht lichen 
Kosteneinsparung fxihren. 

Bei der Erfindiing ist es niitzlich, zwischen 2 Arten von Feh- 
lem zu unterscheiden: 

1. Komponentenf ehler sind die Fehler, welche eindeutig einer 
Komponente zugeordnet werden konnen. 

2, Systemf ehler sind Fehler, deren Ursache nicht eindeutig 
ermittelt werden kann. 

Deshalb sollte jedem FehlerzShler vorteilhaf terweise die In- 
formation zugeordnet werden, ob es sich um einen Koraponen- 
ten- Oder einen Systemf ehler handelt. Diese Information 
20 sollte fiir eine spatere Diagnose zur VerftLgtmg stehen. 

Sollte ein zumindest einmal detektierter Fehler bei der 
nachsten Uberwachung (siehe Block 102 in Fig. 1) plotzlich 
nicht mehr auftreten, dann wird in Fig. 1 in Block 101 der 
25 Fehlerzahler wieder auf Null ruckgesetzt. 

Alternativ dazu gibt es auch die folgende M5glichkeit zur 
Rticksetzxmg des FehlerzShlers : 

- Die zahlung mit dem Fehlerzahler erfolgt stets innerhalb 
eines Ziindungszyklus . 

- Bei Auftreten eines tiberwachungsspezif ischen Fehlerver-- 
dachtes wird der Fehlerzahler um einen vorgebbaren Wert, 
z.B. 1024, inkrementiert . Da dies haufig als Filter rea- 
lisiert ist, empfiehlt es sich, daftir eine mit dem Filter 
zusammenhcLngende Zahl zu verwenden. 



10 



15 



30 



35 
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- Wird der Fehlerverdacht nicht neu gesetzt, dann wird der 
FehlerzShler beispielsweise in einem 5 . 12-Sekunden-Raster 
jeweils lun ein Bit dekrementiert . Das heifit nach einer 
Zeit von 1024 * 5.12 Sekunden (das sind ungefahr 1.5 
5 Stunden) wird ein einmalig gesetzter Fehlerverdacht ver- 

gessen. 

Ein besonders niitzlicher Einsatzbereich eroffnet sich fixr 
die vorliegende Erfindiing bei Fahrzeugen, welche itiit einer 

10 elektrohydraulischen Bremse ausgerustet sind. Diese hat we- 

sentlich kurzere Reakt ions zei ten als eine konventionelle 
hydraulische Bremse. Ein Regeleingrif f eines Fahrdynamikre- 
gelungssys terns ist ftir den Fahrer dann bemerkbar, weim ein 
Bremsdruck von ca. 20 bar aufgebaut worden ist. Dafur 

15 braucht ein konventionelles hydraulisches Bremssystem iinge- 

fahr 200 Mi Hi sekunden, ein elektrohydraulisches Bremssystem 
dagegen nur noch 20 Millisekxinden. Deshalb sind hier ver- 
kurzte Fehlererkennungszeiten besonders vorteilhaft. Das 
vorgeschlagene mehrstufige Fehlererkenn\angsverf ahren ermSg- 

20 licht nahezu unabhSngig von der Geschwindigkeit der Stell- 

glieder eine robuste Fehlererkennung . 

AbschliejSend sollen nochmals die wichtigsten Punkte der Er- 
findung stichwortartig zusammengef asst werden: 
25 - Das Verfahren berxzht auf dem Konzept des Ansprechens ei- 

nes zwei- Oder mehrstufigen Fehlerverdacht es zu Beginn 
der Fehlererkennungszeit 

In der ersten Stxif e des Fehlerverdachtes wird die Druck- 
aufbaudynamik begrenzt. Somit werden die Auswirkungen 

30 moglicher fehlerhafter Eingriffe (bis die zweite Stufe 

des Fehlerverdachtes gesetzt wird) reduziert . 
In der zweiten Stufe des Fehlerverdachtes werden die 
Fahrzeugreglereingrif f sschwellen aufgeweitet. Mit dieser 
Mafinahme werden Fahrzeugreglereingrif fe unterdriickt und 

35 es wird Zeit ftir die robuste vind sichere Erkennung des 

Fehlers gewonnen. 
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- Da itiehr Zeit fxir die Fehlererkenniing zur Verfugung steht 
(langere Fehlererkennxmgszeit) wird es erleichtert, eine 
eindeutige Zuordnting von Systemfehlem zu Komponentenf eh- 
lern zu treffen. 

5 - Das Zahlen des Auftretens eines Fehlerverdachts erlaubt 

auch die Erf as sung von durch Wackelkontakt bedingten Feh- 
lem. 
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Anspriiche 

1. Verfahren zur Erzeugung eines Fehlersignals \md darauf 
basierender Durchfuhxung von Mafinahmen bei einem mit einem 
Radschlupfregelungssystem und/oder Radverzogeriingsregelungs- 
system ausgestatteten Kraf tf ahrzeug, welches 

- wenigstens eine FunktionsgroSe, die die Funktionalitat 
des Radschlupfregelungssystems xind/oder Radverzogerungs- 
regelxmgssystems reprasentiert, auf einen Fehler hin ii- 
berwacht iind 

im Falle wenigstens eines detektierten Fehlers den Wert 
wenigstens eines Felilerzahlers (ik) inkrementiert xmd 

- wenigstens ein Fehlersignal ausgibt, wenn der Wert we- 
nigstens eines Fehlerzahlers einen vorgebbaren Grenzwert 
(Nl, N2, N3) iiberschreitet, 

dadurch gekennzeichnet , dass 

ftir wenigstens einen Fehlerzahler gleichzeitig wenigstens 
zwei verschiedene vorgebbare Grenzwerte (Nl, N2, N3) vor- 
handen sind, bei deren jeweiligem Uberschreiten dxirch den 
zahler stand des wenigstens einen Fehlerzahlers (ik) lan- 
terschiedliche Fehlersignale ausgegeben werden \md 
in Reaktion auf die xinterschiedlichen Fehlersignale iin- 
terschiedliche Mafinahmen im Radschlupfregelungssystem 
und/oder Radverzogerungsregelxmgssystem durchgefahrt wer- 
den. 

2, Verfahren nach Anspruch 1, dadurch gekennzeichnet , dass 
es sich bei dem Radschlupf regelxingssystem lond/oder Radverzo- 
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gerimgsregelungs system um ein Fahrdynaitiikregelungsystem han- 
delt, welches wenigstens eine die Fahrdynamik reprasentie- 
rende Grofie auf ein gewiinschtes Verhalten regelt. 

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet ,dass 
die tiberwachung wenigstens einer FunktionsgrSSe, welche die 
Funktionalitat des Radschlupfregelungs systems und/oder Rad- 
verzogerungsregelimgssy stems reprasentiert, dadiirch erfolgt, 
dass eine Uberprtifxmg des Erfiilltseins wenigstens einer ge- 
gebenen Bedingung stattfindet. 

4. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass 
als erste MaSnahme bei Uberschreiten des niedrigsten Grenz- 
werts (Nl) durch einen Fehlerzahler eine Verlangsamung der 
Bremskraf taufbauprozesse imd/oder Bremskraf tabbauprozesse in 
den Radbremsen durchgefuhrt wird. 

5. Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass 
als zweite Mafinahme bei Uberschreiten des zweitniedrigsten 
Grenzwerts (N2) durch einen Fehlerzahler eine grdfiere Abwei-- 
chtmg wenigstens einer die Fahrdynamik reprasentierenden 
GrSiSe von ihrem gewiinschten Verhalten zuiassig ist, bevor 
ein Regelungseingriff des Fahrdynamikregelungssystems er- 
folgt und/oder dass als zweite Mafinahme wenigstens ein Rege- 
lungseingriff des Fahrdynamikregelxmgssystems ganz untersagt 
wird. 

6. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass 
die tiberwachung wenigstens einer Funktionsgrofie derart er- 
folgt, dass eine durch das Ausgangs signal eines Fahrzeugsen- 
sors reprasentierte GrGlSe mit einer durch ein mathematisches 
Modell berechneten Gr6Se vergleichen wird. 

7. Verfahren nach Anspruch 6, dadxirch gekennzeichnet, dass 
der Vergleich einer durch das Ausgangssignal eines Fahrzeug- 
sensors reprasentierten GroSe mit einer durch ein mathemati- 
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sches Modell berechneten Gr5Se nur wShrend bestimmter Fahr- 
zustande erfolgt. 

8- Verfahren nach Aiispruch 1, dadurch gekennzeichnet, dass 
5 unter einer FunktionsgroSe die Spannung an einem Punkt der 

elektronischen Schaltung des Radschlupfregelungssystems 
und/oder Radverzogerimgsregeltings systems oder das Ausgangs- 
signal eines Sensors oder eine aus einem mathematischen Mo- 
dell berechnete GroSe verstanden wird. 

10 

9 . Vorrichtung zur Erzeugung eines Fehlersignals und darauf 
basierender Durchfiihrung von Mafinahmen bei einem mit einem 
Radschlupf regelungssystem und/oder Radverzogerungsregelimgs- 
system ausgestatteten Kraf tf ahrzeug, welche 
15 - Uberwachungsmittel, welche wenigstens eine Fxinktionsgro- 

E>B, die die Funktionalitat des Radschlupfregelungssystems 
vmd/oder Radverzogerungsregelungssys terns reprasentiert , 
auf einen Fehler hin xiberwachen und 

Fehlerz^hlungsmittel, in denen im Falle wenigstens eines 
20 detektierten Fehlers der Wert wenigstens eines Fehlerzah- 

lers (ik) inkrementiert wird und 

- Fehlersignalerzeugxingsmittel, durch welche wenigstens ein 
Fehlersignal ausgegeben wird, wenn der Wert wenigstens 
eines FehlerzShlers einen vorgebbaren Grenzwert (Nl, N2, 

25 N3) iiberschreitet, 

enthalt, dadurch gekennzeichnet, dass 

fur wenigstens einen Fehlerzahler gleichzeitig wenigstens 
zwei verschiedene vorgebbare Grenzwerte (Nl, N2, N3) vor- 
handen sind, bei deren jeweiligem Oberschreiten durch den 

30 Zahler stand (ik) des wenigstens einen Fehler zShlers un- 

ter schiedliche Fehlers ignale ausgegeben werden tind 

- in Reaktion auf die unter schiedlichen Fehlersignale un- 
terschiedliche Mafinahmen im Radschlupf regelungssystem 
und/oder Radverzogerungsregelungssystem durchgefiUirt wer- 

35 den. 
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